侯奉含,刘春茂,白小翀

（1.河南工业职业技术学院计算机工程系,河南南阳;473009;2.中国人民解放军95865部队,北京昌平,102218）

0 引言

网络蠕虫、拒绝服务等网络攻击给网络可用性带来了威胁，由于这些攻击行为具有高危害性，对其进行高效监测十分必要。据IDC一项研究，分布式拒绝服务攻击和拒绝服务攻击防御解决方案市场在2012年到2017年间预计将增长18.2%,相关开支将达到8.7亿美元。

1 实时监测系统

1.1 可视化方法

根据文献[2]的建议，使用了一种简单有效的可视化方法。提取IP数据包中的三个首部字段：源IP地址(Is)，目的IP地址(Id)，目的端口号(Pd)，形成三元组，形成每个数据包的特征标签，建立分别以这三个值为特征维度的三维直角坐标系，根据其特征标签，判断其是否攻击，将其在坐标系中显示出来，可实现可视化。

1.2 实时监测系统

根据上述方法，设计实现了一个网络攻击实时可视化监测系统 (RTVNA，Real-Time Visualization of Network Attacks）。系统有攻击坐标图、攻击记录查询界面、攻击记录统计界面和记录坐标图等四个界面展示攻击情况，还具有根据包内容过滤的规则设置、阈值设置和数据包离线分析功能，方便用户操作。

2 网络测试

图1是空负荷测试结果，可看出，snort的内存使用是本系统的六倍以上，虚拟内存使用是本系统的两倍以上。空负荷情况下，系统比snort耗用更少资源，说明RTVNA比snort更能适应高速链路，原因在于系统只检查数据包的三个首部字段，能够更快处理网络数据包。

在实际网络测试中，系统和snort同时对网络流量进行监测，然后手工分析测试结果。……